Metodología
Cómo ISMSCalculator modela el coste de ISO 27001
Cada multiplicador, mínimo, tarifa por defecto y supuesto de tiempo de auditoría que usa el motor se publica aquí. Nada queda detrás de una llamada comercial y no se reproduce ningún texto ni tabla de la norma ISO.
Las estimaciones guardadas, compartidas y exportadas siempre se recalculan en el servidor con esta versión del motor: un valor generado en el navegador es solo una vista previa.
Esfuerzo base de implementación (días-persona)
Modelado- Micro (1–10 empleados)
- 5.5 d
- Pequeña (11–50)
- 25 d
- Mediana (51–250)
- 70 d
- Grande (251–1000)
- 180 d
- Corporación (1000+)
- 400 d
Esfuerzo mínimo (núcleo del SGSI irreducible)
Modelado- Micro (1–10 empleados)
- 5 d
- Pequeña (11–50)
- 12 d
- Mediana (51–250)
- 30 d
- Grande (251–1000)
- 75 d
- Corporación (1000+)
- 160 d
Multiplicadores de complejidad sectorial
Modelado- Finanzas y Banca
- ×1.45
- Salud
- ×1.35
- Gobierno
- ×1.30
- Tecnología
- ×1.05
- Manufactura
- ×1.22
- Comercio y E-commerce
- ×1.10
- Educación
- ×1.08
- Energía y Servicios públicos
- ×1.25
- Telecom y Medios
- ×1.20
- Seguros y Legal
- ×1.38
- Logística y Transporte
- ×1.15
- Otros
- ×1.00
Multiplicadores de infraestructura
Modelado- Nube
- ×0.90
- Local
- ×1.15
- Híbrido
- ×1.00
Multiplicadores de madurez (interpolados 1–5)
Modelado- Nivel 1
- ×1.35
- Nivel 2
- ×1.15
- Nivel 3
- ×1.00
- Nivel 4
- ×0.80
- Nivel 5
- ×0.65
Reutilización de marcos de control existentes
Modelado- SOC2
- −10%
- GDPR
- −8%
- ISO9001
- −6%
- NIST
- −7%
- PCIDSS
- −5%
- HIPAA
- −6%
- Reducción combinada máxima
- −30%
Tiempo de auditoría de certificación
Informado por ISO- Modelo
- Duración basada en la plantilla, principios de ISO/IEC 27006-1
- Límite de ajuste por alcance
- 30 % (nunca se supera)
- Duración mínima de auditoría
- 3.5 d
- Tarifa diaria de la entidad de certificación (por defecto)
- €1,300
- Multisede
- Muestreo de sedes por raíz cuadrada, +1 día por cada sede muestreada adicional
Tarifas diarias por defecto
Supuesto por defecto- Interna
- €600
- Consultoría
- €1,200
Bloques de coste fijos — formación
Supuesto por defecto- Micro (1–10 empleados)
- €400
- Pequeña (11–50)
- €2,000
- Mediana (51–250)
- €8,000
- Grande (251–1000)
- €18,000
- Corporación (1000+)
- €40,000
Bloques de coste fijos — herramientas / software GRC
Supuesto por defecto- Micro (1–10 empleados)
- €500
- Pequeña (11–50)
- €5,000
- Mediana (51–250)
- €20,000
- Grande (251–1000)
- €60,000
- Corporación (1000+)
- €150,000
Fases de implementación (parte del esfuerzo)
Modelado- Análisis de brechas
- 10%
- Evaluación de riesgos
- 15%
- Desarrollo de políticas
- 20%
- Implementación
- 30%
- Auditoría interna
- 10%
- Auditoría de certificación
- 15%
Bandas de confianza de la estimación (rango de planificación)
Estimado- Alta (puntuación ≥ 0.75)
- 88 % – 115 % del total modelado
- Media (puntuación ≥ 0.5)
- 80 % – 125 % del total modelado
- Baja (puntuación ≥ 0)
- 68 % – 145 % del total modelado
Análisis de escenarios
Cada escenario, punto de sensibilidad y perspectiva a 3 años se recalcula en el servidor con el mismo motor de referencia. Nunca se confía en un total calculado por el navegador, y un escenario guardado conserva exactamente los supuestos recurrentes con los que se guardó.
Supuestos editables
Indicado por el usuarioEstos supuestos pueden sustituirse por estimación. Una sustitución reemplaza el valor por defecto del modelo solo en esa estimación: el valor publicado nunca cambia y un valor editado es un dato de planificación del usuario, no una tarifa de mercado verificada.
employees · locations · infraType · overallMaturity · mixRatio · internalRate · consultantRate · certBodyDayRate · trainingCost · toolsCost
Sensibilidad de costes
Modelado- Método
- Una variable a la vez, recálculo completo del motor por punto
- Tarifa diaria del consultor
- ±25%
- Tarifa diaria interna
- ±25%
- Madurez de seguridad
- ±1
- Ubicaciones en el alcance
- ±1
- Sistemas de TI en el alcance
- ±50%
- Modelo de infraestructura
- alternatives
- Modelo de ejecución
- alternatives
- Reutilización de marcos existentes
- none / max
Perspectiva de planificación a 3 años
Supuesto por defecto- Versión del modelo de perspectiva
- ISO_TCO_MODEL_1_0
- Operación interna del SGSI (% del esfuerzo de implementación del año 1, por año)
- 25
- Provisión de seguimiento (% de los días de auditoría inicial modelados, por año)
- 33
- Herramientas recurrentes (% de la provisión del año 1, por año)
- 100
- Actualización de concienciación (% de la provisión del año 1, por año)
- 40
- Apoyo externo (días de consultor por año)
- 0
- Recertificación
- No incluida en la perspectiva a 3 años
- Verificación metodológica abierta
- Provisión de seguimiento
Una perspectiva de planificación a tres años, no una representación del ciclo formal de certificación. Los valores recurrentes son supuestos por defecto de ISMSCalculator, no promedios del sector.
La provisión de seguimiento se modela como una parte de la duración modelada de la auditoría inicial. Es un supuesto por defecto, no una cifra exigida ni calculada por ISO; la base exacta en ISO/IEC 27006-1 aún requiere verificación metodológica.
No incluida en esta perspectiva de planificación a 3 años. La recertificación suele producirse al final de un ciclo de certificación, fuera de este horizonte.
Limitaciones
- Las referencias del modelo no son datos de mercado observados y no se publican percentiles ni tasas de éxito empíricas.
- El indicador de confianza expresa cuán específicos de su organización son sus datos; no es un intervalo de confianza estadístico.
- El tiempo de auditoría definitivo lo determina su entidad de certificación, no este modelo.
- Los ciclos de seguimiento y recertificación quedan fuera del alcance actual del modelo.